Com importar un certificat VPN a Android i verificar la clau

Importar un certificat de client VPN a Android triga un parell de minuts. Comprovar que ha arribat al lloc correcte triga més, i aquesta és la part que la majoria de la gent s'estalvia quan el diàleg d'instal·lació diu que ha anat bé. Un missatge d'èxit només vol dir que el fitxer s'ha analitzat. No diu res sobre quin proveïdor té la clau privada ni si encara queda una còpia a la carpeta Downloads.

Pas 1: Llegeix el P12 abans que surti de la teva màquina

Comença pel fitxer mateix. Si no pots anomenar el subjecte, l'emissor i la data de caducitat que hi ha dins, estàs important una cosa que després no podràs verificar.

Un paquet PKCS#12 normalment porta un certificat de client, la seva clau privada i la cadena de l'emissor. openssl pkcs12 -in client.p12 -info -noout imprimeix el MAC i els algorismes de xifrat sense abocar material de clau, així que pots veure si el paquet està protegit amb contrasenya i amb quin xifratge. Fes-ho seguir de keytool -list -v -keystore client.p12 -storetype PKCS12 per obtenir l'àlies, l'empremta SHA-256 i la finestra de validesa que compararàs amb el telèfon.

Envia la contrasenya per un canal diferent del fitxer, o lliura el fitxer dins d'un flux de distribució gestionat que no deixi cap còpia. Una contrasenya enganxada al mateix missatge de xat que l'arxiu converteix dos controls en un.

Pas 2: Instal·la'l a la ranura que l'aplicació VPN llegeix de debò

A l'Android 11 fins al 14 d'estoc el camí passa per Configuració, Seguretat, Xifratge i credencials, Instal·la un certificat, i després VPN i certificat d'usuari de l'aplicació. La redacció i l'encistellament canvien entre versions i capes de fabricant, així que segueix l'etiqueta del tipus de credencial en lloc d'una posició de menú memoritzada. En un perfil de treball, instal·la des de dins del costat de treball, perquè les credencials no travessen la frontera del perfil.

No posis una identitat de client a la ranura de certificat CA. Aquesta ranura alimenta el magatzem de confiança de l'usuari, i des de l'Android 7 les aplicacions ignoren les CA afegides per l'usuari tret que la seva configuració de seguretat de xarxa ho permeti, així que un certificat de client deixat allà no apareix mai al selector de claus de la VPN.

Alguns clients de VPN no toquen mai el magatzem del sistema i importen el P12 al seu propi directori d'aplicació. És un disseny legítim, però canvia tots els passos posteriors: la clau ara viu dins la caixa d'arena de l'aplicació i és exactament tan forta com aquesta aplicació gestiona el seu propi emmagatzematge. Consulta la documentació del client abans de donar per fet que KeyChain hi intervé.

Pas 3: Demostra quin proveïdor té la clau

Una importació confirma l'anàlisi, no el suport maquinari. A l'Android 12 i posteriors, KeyInfo.getSecurityLevel() informa si una clau és a l'Entorn d'Execució de Confiança, a StrongBox o al programari, i substitueix la crida més antiga isInsideSecureHardware(). Si el client VPN no mostra aquest valor, l'empremta del pas 1 és la teva alternativa. Un certificat recodificat durant la importació no coincidirà byte a byte, però la clau pública i el subjecte sí que ho faran.

No exportable no és el mateix que inutilitzable. Una clau que no pot sortir del dispositiu encara la pot fer servir qualsevol aplicació que l'usuari autoritzi a triar aquest àlies, i per això el missatge de l'àlies és un control real i no una formalitat. La documentació d'Android Keystore val la pena llegir-la un cop si prens aquesta decisió de disseny.

Després compta les còpies que has fet. El P12 del teu portàtil, el del fitxer adjunt del tiquet i el de la còpia de seguretat del mes passat són encara identitats vàlides fins que l'emissor les revoqui. La protecció maquinari de la instància del telèfon no fa res per aquelles.

Pas 4: Esbrina qui és el propietari del requisit de bloqueig de pantalla

Aquí es confonen tres secrets: el PIN de desbloqueig del dispositiu, la contrasenya de la clau privada i la contrasenya del compte VPN. Una petició d'un no és mai una sol·licitud per restablir els altres, i restablir l'equivocat és com la gent es deixa fora d'un perfil que funcionava bé.

Quan un administrador de dispositiu o una política de perfil gestionat exigeix un bloqueig, el requisit pertany a aquesta política, no al certificat. adb shell dumpsys device_policy llista els administradors actius i la qualitat de contrasenya que imposen, que és la manera més ràpida de veure si un agent MDM és la raó per la qual les teves regles de PIN han canviat. Treure el certificat no relaxarà la política, i treure la política és una decisió administrativa i no un retoc de configuració.

Espera també una contrapartida d'usabilitat. Si la clau requereix autorització de l'usuari, el túnel no pot aixecar-se abans del primer desbloqueig, així que les sincronitzacions programades i els despertars remots fallen per disseny. Decideix-ho abans del desplegament, no després.

Evita la drecera d'editar locksettings.db o de repetir una vella solució per a un patró oblidat. Aquestes rutines es van escriure per a compilacions concretes, poden deixar el magatzem de credencials en un estat que el framework ja no espera, i mai canvien la política que va demanar el bloqueig en primer lloc.

Pas 5: Retira la identitat i verifica el rebuig

La retirada té tres parts i només la primera és local. Elimina el perfil VPN, esborra el certificat d'usuari a Configuració, Seguretat, Xifratge i credencials, Credencials d'usuari, i després fes que l'emissor revoqui el número de sèrie del certificat. L'esborrat local per si sol deixa una credencial que el servidor encara accepta si algú ha guardat el P12.

Verifica el resultat en lloc de suposar-lo. Prova una connexió amb el perfil retirat i confirma que el servidor la rebutja. Un túnel que encara s'aixeca vol dir que has revocat el número de sèrie equivocat o que el client ha tornat silenciosament a una altra identitat instal·lada.

Si estàs revertint una importació fallida, torna a importar des del paquet xifrat original i torna a comprovar l'empremta en lloc de reutilitzar un fitxer de clau desxifrat que hagis deixat al disc.